Claude를 활용한 OpenAI 침투, 취약점 공격의 비용이 낮아졌다

보안 연구팀 Hacktron AI가 Anthropic의 Claude를 활용해 OpenAI 시스템의 취약점을 찾아내고, OpenAI 직원 계정과 내부 코드 저장소에 접근할 수 있는 경로를 입증했다. 공격은 악의적인 침해가 아니라 OpenAI의 버그 바운티 범위에서 수행됐으며, 연구팀은 민감한 코드를 열람하지 않고 내부 저장소에 증명용 변경 요청을 만드는 선에서 테스트를 멈췄다. OpenAI와 관련 업체는 취약점을 수정했고 OpenAI는 6,500달러의 포상금을 지급했다.

이 사건에서 중요한 것은 ‘어느 회사의 AI가 경쟁사를 공격했다’는 구도가 아니다. 이미 공개돼 있던 저수준 메모리 버그를 실제 서비스에서 작동하는 공격 코드로 바꾸는 데 필요한 희소한 전문성과 시간이 AI로 크게 줄었다는 점이다. 복잡성이 사실상 방어막 역할을 하던 시대의 보안 가정이 흔들리고 있다.

이미지 업로드에서 내부 저장소까지

첫 진입점은 OpenAI 커뮤니티 포럼의 이미지 업로드 기능이었다. 포럼 소프트웨어인 Discourse는 아이폰에서 흔히 쓰는 HEIC·HEIF 파일을 JPEG로 변환하는 과정에서 ImageMagick과 libheif를 사용했다. 연구팀은 libheif의 힙 버퍼 오버플로를 이용해 서버에서 코드를 실행할 수 있는 경로를 만들었다.

문제의 코드는 상류 프로젝트에서 이미 수정돼 있었지만 보안 취약점으로 공식 분류되지 않아 CVE가 없었고, 일부 배포판과 컨테이너에는 수정 전 버전이 남아 있었다. 알려진 코드 변경이 실제 운영 환경의 패치로 이어지지 않는 공급망의 틈이 공격 표면이 된 것이다.

포럼 서버 장악만으로 OpenAI 내부 저장소에 바로 들어간 것은 아니다. 두 번째 고리는 OpenAI 계정으로 포럼에 로그인하는 SSO 설정이었다. 연구팀 설명에 따르면 포럼 침해를 이용해 활동 중인 사용자의 ChatGPT·Codex 계정을 탈취할 수 있었고, GitHub가 연결된 직원 계정을 통해 내부 저장소에 접근 가능한 상태까지 도달했다. 연구팀은 실제 내부 코드를 읽는 대신 Codex에 증명용 변경 요청을 만들게 해 영향만 확인했다.

Claude가 바꾼 것은 공격 가능성보다 경제성이다

Hacktron은 기존 Claude Opus 4.8로 주소 공간 배치 난수화가 적용된 환경에서 안정적인 공격 코드를 만들지 못했다고 밝혔다. 그러나 Claude Opus 5가 출시된 뒤 같은 문제를 다시 맡기자 수 시간 안에 ARM64용 공격이 작동했고, 이어 Discourse가 사용하는 x86-64 환경으로 옮길 수 있었다고 설명했다. 다만 이는 연구팀의 자체 보고이며 숙련된 인간의 지시와 검증이 계속 필요했다. 완전히 자율적인 해킹으로 해석해서는 안 된다.

그럼에도 경제성 변화는 분명하다. 연구팀은 OpenAI·Discourse 취약점 연결에 72시간이 채 걸리지 않았고, 더 넓은 HEIF 관련 조사에는 세 명이 두 달 동안 3,000달러 미만의 모델 비용을 썼다고 밝혔다. 과거에는 메모리 손상 취약점을 안정적인 원격 공격으로 바꾸는 작업이 소수 전문가와 긴 시간을 요구했다. AI가 분석, 코드 작성, 환경 적응을 빠르게 반복하면서 공격자가 감당해야 할 비용이 낮아지고 있다.

방어자는 무엇을 바꿔야 하나

첫째, CVE 목록만 따라가는 패치 관리로는 부족하다. 보안 수정으로 명시되지 않은 상류 코드 변경도 실제 위험을 줄 수 있으므로 이미지 디코더처럼 복잡하고 외부 입력을 직접 처리하는 의존성은 별도로 추적해야 한다.

둘째, 이미지·문서 변환기를 핵심 서비스와 분리해야 한다. 불필요한 파일 형식을 끄고, 변환 작업을 권한이 제한된 일회성 샌드박스에서 실행하며, 반복되는 충돌과 비정상 파일 업로드를 탐지해야 한다. Discourse도 보고 뒤 ImageMagick 샌드박싱을 강화했다.

셋째, SSO의 신뢰 범위를 줄여야 한다. 부가 서비스 하나가 침해됐을 때 주 계정과 연결된 이메일, 코드 저장소, 업무 도구까지 연쇄적으로 노출되지 않도록 서비스별 토큰, 재인증, 최소 권한, 세션 분리를 적용해야 한다. 이번 사건은 포럼의 취약점이 계정 연동을 통해 훨씬 큰 피해 가능성으로 확대될 수 있음을 보여줬다.

AI 보안 도구의 양면성

Claude가 취약점을 악용하는 데 도움을 줬다는 사실만 보면 모델 사용 제한이 답처럼 보일 수 있다. 하지만 같은 도구는 방어자에게도 코드 감사, 패치 검증, 공격 경로 재현 능력을 제공한다. 실제로 이번 연구는 책임 있는 공개 절차를 통해 수정으로 이어졌다. 문제는 능력의 존재보다 접근 통제와 감시, 공개 절차, 책임 체계를 어떻게 설계하느냐에 있다.

고성능 모델이 공격 코드를 거부하더라도 연구자가 자체 시험 환경을 구성해 우회할 수 있고, 오픈웨이트 모델의 보안 능력도 빠르게 올라오고 있다. 따라서 모델 수준의 안전장치만으로 방어를 맡길 수 없다. 취약점이 악용되기 전에 찾아 고칠 수 있도록 방어팀에도 동등한 자동화 도구와 예산을 제공하고, 고위험 작업은 기록과 승인을 남기는 운영 통제가 필요하다.

Nova의 해설

이번 사례의 핵심 교훈은 AI가 전에 없던 종류의 취약점을 발명했다는 것이 아니다. 이미 존재하던 버그와 잘못된 신뢰 설정을 실제 침투 경로로 조립하는 비용을 낮췄다는 데 있다. ‘이 취약점은 악용이 너무 어려워 현실적인 위험이 아니다’라는 판단의 유효 기간이 짧아지고 있다.

앞으로 보안 경쟁력은 취약점 수보다 발견에서 패치까지 걸리는 시간, 외부 입력 처리의 격리 수준, 계정 연동의 피해 반경으로 평가해야 한다. AI 공격 능력이 빨라질수록 방어 조직도 패치 우선순위 결정과 재현 시험을 자동화해야 한다. 복잡성이 보호해 주던 여유가 사라진 만큼, 최소 권한과 격리 같은 오래된 원칙을 더 엄격하게 구현하는 것이 가장 현실적인 대응이다.

출처: TechCrunch, Hacktron AI 보안 연구 공개문